Wenn eine Ransomware-Gruppe ihr nächstes Opfer veröffentlicht, erfährt es die betroffene Firma oft als Letzte. Die sogenannten „Data Leak Sites" (DLS) der Erpresserbanden liegen im Darknet, ihre Adressen wechseln ständig, und manuell nachzuschauen, ob das eigene Unternehmen – oder ein betreuter Kunde – dort auftaucht, ist praktisch unmöglich. Genau hier setzt RansomLook an: ein Open-Source-Projekt, das diese Leakseiten automatisiert überwacht, neue Opfermeldungen erkennt und auf Wunsch Alarm schlägt.
Was ist RansomLook?
RansomLook ist ein seit 2022 aktiv entwickeltes Werkzeug zur Überwachung von Ransomware-Gruppen und Darknet-Märkten. Es basiert ursprünglich auf dem Projekt ransomwatch, wurde aber inzwischen deutlich weiterentwickelt – unter anderem mit Beteiligung von Alexandre Dulaunoy (CIRCL Luxembourg) und dem CERT-AG. Die Software steht unter der AGPL-3.0, die Daten der öffentlichen Instanz sogar unter CC BY 4.0 – frei nutzbar, auch kommerziell, bei Namensnennung.
Das Prinzip: RansomLook ruft die Leakseiten der Erpressergruppen regelmäßig über Tor ab, parst die veröffentlichten Opfermeldungen, macht Screenshots als Beleg und speichert alles in einer Valkey-Datenbank (Redis-kompatibel). Das Ergebnis ist über eine Weboberfläche und eine REST-API durchsuchbar – inklusive Verlauf seit 2022.
Die wichtigsten Funktionen im Überblick
- Automatisiertes Scraping von hunderten Leakseiten und Märkten über Tor – multithreaded, mit Playwright und pro Gruppe individuellen Parsern (BeautifulSoup)
- Screenshots jeder erfassten Seite als dokumentarischer Beleg
- Keyword-Alerting per E-Mail: Sobald ein neuer Post einen Ihrer hinterlegten Suchbegriffe enthält – etwa Ihren Unternehmens- oder Kundennamen – geht eine Benachrichtigung raus. Zusätzlich tägliche Zusammenfassungen und RocketChat-Benachrichtigungen
- Threat-Actor-Tracking mit Beziehungen zwischen Gruppen, Foren und Akteuren
- Dataleak-Monitoring und Import von Data-Breach-Meldungen
- Ransom Notes: Sammlung von Erpresserbriefen (Quelle: ThreatLabz) pro Gruppe
- Kryptowährungs-Monitoring: Wallet-Adressen und Transaktionen der Gruppen
- MISP-Integration über die MISP Ransomware Galaxy – direkt anschlussfähig an bestehende Threat-Intel-Plattformen
- Vollständige REST-API mit interaktiver Swagger-Dokumentation
- Torrent-Swarm-Tracking: Gesundheit und Infrastruktur der Torrents, über die Gruppen ihre Beute verteilen
Zahlen der öffentlichen Instanz
Wer nichts selbst hosten will, kann auf ransomlook.io kostenlos recherchieren. Stand Juli 2026:
RSS-Feed und öffentlich lesbare API – ideal für eigene Auswertungen ohne eigene Infrastruktur.
Anwendungsbeispiele aus der Praxis
1. Systemhäuser und MSPs: Mandanten proaktiv schützen
Das ist der Klassiker: Als Dienstleister hinterlegt man die Firmennamen (inkl. Schreibvarianten, Töchter und Domains) aller betreuten Unternehmen als Alert-Keywords. Taucht einer davon auf einer Leakseite auf, kommt die Mail, bevor der Kunde selbst etwas merkt – ein echter Mehrwert im Betreuungsvertrag und ein Frühwarnsystem, das sonst nur teure kommerzielle Threat-Intel-Produkte bieten.
2. SOC und Threat Intelligence: Lagebild statt Einzelfall
Welche Gruppen sind gerade aktiv? Welche Branchen und Regionen werden getroffen? Über Statistiken, „Trending"-Ansichten und die API lassen sich Kampagnen zeitlich einordnen – und dank MISP-Integration fließen die Indikatoren direkt in die eigene Plattform.
3. Incident Response: Angriff einordnen
Im Ernstfall helfen die hinterlegten Ransom Notes, die bekannten Wallet-Adressen und der Post-Verlauf einer Gruppe, um Akteur, Taktik und mögliche Verhandlungslage schneller zu beurteilen.
4. Journalisten und Forscher: ohne eigenen Aufwand recherchieren
Die öffentliche Instanz mit Suche, RSS und CC-BY-lizenzierten Daten macht RansomLook auch für Recherchen attraktiv, die keine eigene Darknet-Infrastruktur rechtfertigen.
Selbst hosten: das Wichtigste in Kürze
Die Installation ist für erfahrene Linux-Admins gut machbar: Empfohlen wird Ubuntu 24.04, dazu Valkey (aus den Quellen), Python mit Poetry, Tor und die Playwright-Browser-Abhängigkeiten. Nach dem Setup läuft die Kern-Pipeline per Cron – empfohlen alle zwei Stunden:
poetry run scrape # Leakseiten abrufen
poetry run parse # Opfermeldungen extrahieren
poetry run screen # Screenshots erstellen
poetry run notify # Keyword-Alerts per Mail versendenDie Weboberfläche läuft danach lokal auf Port 8000, inklusive Admin-Bereich zum Pflegen von Gruppen, Keywords und API-Keys.
Praxis-Hinweis: Betreiben Sie so ein System isoliert – eigene VM oder dedizierter Thin Client, kein Zugriff ins interne Netz, keine produktiven Zugangsdaten auf der Maschine. Die überwachten Seiten sind feindliches Terrain.
Wichtige Einordnung zum Schluss
Ein Eintrag auf einer Leakseite ist zunächst die Behauptung einer kriminellen Gruppe – nicht mehr. Erpresser übertreiben, recyceln alte Daten oder listen Opfer, mit denen sie nie etwas zu tun hatten. Ein RansomLook-Alert ersetzt also nicht die Verifizierung, sondern gibt Ihnen den entscheidenden Zeitvorsprung, sie einzuleiten.
Und: Beim Monitoring sollten nur Metadaten und Screenshots der Posts gespeichert werden – die geleakten Daten selbst herunterzuladen, ist rechtlich heikel (Stichwort Datenhehlerei, § 202d StGB) und für die Erkennung schlicht nicht nötig.
Fazit
RansomLook ist eines der besten Open-Source-Werkzeuge, um den dunklen Teil des Ransomware-Ökosystems sichtbar zu machen – gepflegt, aktiv entwickelt und praxisnah. Ob als Recherche-Quelle über die öffentliche Instanz oder als selbst gehostetes Frühwarnsystem mit Keyword-Alerting: Für uns ein klares Must-have-Werkzeug im Security-Werkzeugkasten.